is_safe_url()

将访客重定向到另一个URL是常见的。重定向目标可由访客控制的情况也很常见。通常可以在重定向目标中找到一个 ?next 或 ?on_complete GET参数。

虽然这种形式的重定向很方便，但盲目地将访客重定向到指定的目标很容易导致 未经验证的重定向和转发。因此，在重定向访客之前，需要检查重定向目标是否“安全”。

Django Web框架 有一个名为 is_safe_url() 的实用函数，它尝试将给定的目标与一组有效的域名进行验证。此包解包了该函数，并允许其他项目轻松使用它。

>>> from is_safe_url import is_safe_url
>>> is_safe_url("/redirect/target", {"example.com", "www.example.com"})
True
>>> is_safe_url("//example.com/redirect/target", {"example.com", "www.example.com"})
True
>>> is_safe_url("//evil.net/redirect/target", {"example.com"})
False
>>> is_safe_url("http://example.com/redirect/target", {"example.com"})
True
>>> is_safe_url("http://example.com/redirect/target", {"example.com"}, require_https=True)
False
>>> is_safe_url("https://example.com/redirect/target", {"example.com"}, require_https=True)
True

安全

请将安全问题 私下 报告给 Django安全团队 或 Markus Holtermann。